Resumo Técnico: PromptPET

Declaração do Problema

A rápida adoção de agentes de IA (ex: ChatGPT, Gemini) deslocou a interação do usuário de caixas de pesquisa para uma linguagem natural aberta, incentivando a divulgação de informações pessoais ricas e sensíveis. Embora isso aumente a utilidade por meio da personalização, introduz riscos significativos de privacidade. Diferente do rastreamento tradicional via PII (Informação de Identificação Pessoal), os agentes de IA podem inferir atributos detalhados do usuário (interesses, estado de saúde, situação financeira) a partir de contextos que não são PII para construir perfis detalhados. Esses perfis são frequentemente usados para publicidade ou compartilhados com terceiros.

As soluções de privacidade atuais enfrentam duas limitações principais:

1. Redação de PII: Remover entidades nomeadas muitas vezes falha em proteger tópicos sensíveis (ex: remover "Mountain View", mas deixar "buscando um terapeuta" ainda revela o estado de saúde mental).
2. Compromisso Utilidade-Privacidade: A ofuscação agressiva (ex: remover todos os detalhes sensíveis) degrada a qualidade da resposta da IA, enquanto preservar a utilidade deixa o usuário vulnerável à criação de perfis.

As abordagens existentes dependem de regras fixas e manuais ou delegam as decisões inteiramente a um LLM sem otimização sistemática, falhando em considerar a importância variável de diferentes unidades sensíveis dentro de um prompt.

Metodologia: PromptPET

O PromptPET é um framework do lado do usuário projetado para ofuscar informações sensíveis em prompts de usuários antes que eles cheguem ao agente de IA, sem exigir a cooperação do provedor. Ele opera inteiramente no lado do cliente usando um LLM local. O framework consiste em três estágios:

1. Detecção e Pontuação de Informação Sensível

• Detecção Baseada em Taxonomia: O PromptPET utiliza uma taxonomia sensível (especificamente a IAB Audience Taxonomy) para identificar "Unidades Sensíveis" dentro de uma consulta. Essas unidades são mapeadas para Categorias específicas (ex: Saúde) e Tipos de Dados (ex: Depressão).
• Pontuação de Importância: Nem todas as unidades sensíveis contribuem igualmente para a utilidade da resposta. O PromptPET atribui uma pontuação de importância ($[0, 1]$) a cada unidade detectada usando um LLM ajustado por instrução. Esta pontuação estima a contribuição da unidade para gerar a resposta desejada, distinguindo entre unidades de alta contribuição "frágeis" e aquelas que podem ser ofuscadas agressivamente.

2. Ações de Ofuscação

O PromptPET emprega quatro estratégias distintas de ofuscação, aplicando-as com base na importância da unidade e no contexto:

• Redação (Redaction): Remove a unidade e a substitui por um marcador (ex: [REDACTED]). Isso maximiza a privacidade, mas frequentemente destrói a utilidade.
• Abstração (Abstraction): Generaliza a unidade para uma categoria de nível superior na taxonomia (ex: substituir "Depressão" por "Saúde"). Isso oferece um meio-termo.
• Substituição (Replacement): Substitui a unidade por uma alternativa plausível de um tipo de dado diferente dentro da mesma categoria (ex: substituir "Mountain View" por "Palo Alto").
• Ruído (Noise - Inovação): Mantém a unidade sensível original intacta, mas injeta informações "decoy" (iscas) plausíveis e contextualmente relevantes sob um tipo de dado diferente. O agente de IA é instruído a responder tanto à consulta real quanto à decoy. O sistema do lado do cliente então filtra a parte decoy da resposta. Isso preserva a utilidade para unidades de alta importância enquanto interrompe a capacidade do perfilador de isolar o sinal verdadeiro.

3. Otimização de Regras via Aprendizado por Reforço

Em vez de heurísticas fixas, o PromptPET introduz um Otimizador de Regras inspirado em Optimization by PROmpting (OPRO).

• Mecanismo: Um agente baseado em LLM (o Obfuscation Action Decider) atribui uma ação a cada unidade sensível com base em um conjunto de regras de decisão. Um segundo agente (o Rule Optimizer) refina iterativamente essas regras.
• Loop de Feedback: O otimizador avalia conjuntos de regras em um conjunto de validação usando uma função de recompensa: $\alpha \cdot \text{Privacidade} + (1-\alpha) \cdot \text{Utilidade} - \lambda \cdot |R|$, onde $|R|$ é o comprimento do conjunto de regras. Ele retém regras fortes, revisa as medíocres e poda as fracas.
• Resultado: O sistema aprende uma política dinâmica que seleciona a ação de ofuscação ideal para cada unidade específica, em vez de aplicar uma estratégia única globalmente.

Principais Resultados

Os autores avaliaram o PromptPET no conjunto de dados WildChat-1M (filtrado para conteúdo sensível) contra um serviço de agente de IA de produção (simulado via GPT-4.1).

Análise de Ação Única

• Superioridade do Ruído: Entre as estratégias de ação única, o esquema de Ruído (Noise) alcançou o melhor compromisso privacidade-utilidade. Em força máxima, alcançou 73,7% de sucesso (alta privacidade, alta utilidade), superando significativamente a Redação (39,4%) e a Abstração (51,2%). O Ruído preservou a utilidade mantendo o sinal original intacto enquanto sobrecarregava o perfilador com decoys.
• Dependência de Contexto: Nenhuma ação única foi ideal para todas as consultas. A Redação foi melhor para unidades sensíveis incidentais, enquanto o Ruído foi essencial para componentes centrais da consulta.

Desempenho do PromptPET

• Comparação com o Estado da Arte: O PromptPET superou significativamente os benchmarks automatizados anteriores (Ngong et al. e Zhou et al.).
  • Entregou 3,3× mais privacidade por unidade de custo de utilidade em comparação ao benchmark anterior mais forte.
  • Alcançou 1,4× mais privacidade geral (0,78 vs. 0,55) enquanto mantinha alta utilidade.
• Alcance da Fronteira: O conjunto de regras aprendido permitiu que o PromptPET igualasse o limite superior da melhor estratégia de ação única em cada ponto operacional (ex: usando Abstração para necessidades de baixa privacidade e Ruído para alta privacidade), efetivamente "cooperando" em vez de competir.
• Modos de Falha: O sistema falhou principalmente de duas maneiras distintas:
  1. Falha de Privacidade (17,5%): O perfilador recuperou o perfil a partir do contexto residual, apesar da ofuscação.
  2. Colapso de Utilidade (7,6%): Ocorreu principalmente quando a Redação foi aplicada incorretamente a unidades de alta importância.
  • A falha simultânea de ambos os eixos foi rara (1,1%).

Eficiência

• Latência: O PromptPET adiciona uma latência mediana no lado do cliente de 11,6 segundos por consulta (dominada pela etapa de detecção usando um modelo de 12 bilhões de parâmetros), resultando em um tempo total de ponta a ponta de ~17,1 segundos. Os autores observam que isso é uma preocupação secundária em relação ao compromisso privacidade-utilidade e poderia ser reduzido com detectores menores e especializados.

Significância e Alegações

O artigo afirma que o PromptPET representa um framework unificador e principiado para ofuscação de prompts. Suas principais contribuições são:

1. Controle do Lado do Usuário: Demonstra que controlar os dados no ponto de divulgação (lado do cliente) é uma tecnologia de Proteção de Privacidade (PET) viável e poderosa que não depende da confiança no provedor.
2. Mecanismo de Ruído Inovador: A introdução do esquema Ruído/Denoise fornece um novo método para preservar a utilidade enquanto interrompe o perfilamento, superando os métodos tradicionais de remoção.
3. Otimização Sistemática: Ao se afastar de regras estáticas para um otimizador de regras inspirado em aprendizado por reforço, o PromptPET adapta-se dinamicamente às nuances de diferentes consultas, alcançando uma fronteira de privacidade-utilidade que métodos estáticos não conseguem atingir.
4. Avaliação Abrangente: O trabalho fornece a primeira comparação sistemática de redação, abstração, substituição e ruído, estabelecendo que a estratégia ideal é dependente do contexto e deve ser aprendida, não codificada manualmente.

Os autores concluem que o PromptPET oferece um caminho prático para que os usuários interajam com agentes de IA mantendo o controle sobre sua privacidade, efetivamente subvertendo o perfilamento do usuário sem sacrificar a utilidade da interação.